XMCO : Prise de contrôle d’un système via le navigateur Internet Explorer (MS09-034)
juillet 2009 par XMCO PARTNERS
KB972260 : Bulletin de Sécurité Microsoft MS09-034
– Date : 29 Juillet 2009
– Plateforme : Windows
– Programme : Internet Explorer
– Gravité : Elevée
– Exploitation : Avec une page web malicieuse
– Dommage : Accès au système
– Description :
Une mise à jour de sécurité corrige plusieurs vulnérabilités au sein du navigateur Internet Explorer. Celles-ci permettaient à un attaquant distant de prendre le contrôle d’un système vulnérable.
Cette mise à jour est considérée comme étant critique pour les systèmes Windows 2000, XP et Vista, tandis qu’elle est modérée pour les serveurs Windows 2003 et 2008.
Ce correctif corrige tout d’abord un problème au sein de la librairie Microsoft Active Template Library (ATL). Cette librairie permettait d’instancier des objets COM malgré le fait que des bits d’arrêt (killbit) étaient mis en place.
Les bits d’arrêts sont utilisés afin d’empêcher le chargement d’un contrôle ActiveX au sein du navigateur. Cependant, grâce à cette librairie il était possible de contourner cette mesure de sécurité et par conséquent d’exploiter des failles de sécurité telles que la MS09-032 publiées le 14 juillet.
D’autre part, trois vulnérabilités ont été corrigées avec ce correctif.
Une erreur était provoquée lors de l’accès à certains objets supprimés en mémoire. Cette faille de sécurité permettait de corrompre la mémoire et par conséquent d’exécuter un code malicieux.
D’autre part, Internet Explorer ne gérait pas correctement certains objets HTML lors d’opérations effectuées sur des tableaux.
Enfin, une erreur permettait l’exécution de code à distance lors de l’accès à certains objets supprimés en mémoire.
Ces failles de sécurité pouvaient être exploitées en incitant un utilisateur à visualiser une page web judicieusement conçue et permettaient à un attaquant distant de prendre le contrôle du système avec les droits de l’utilisateur courant.
Note : L’application de ce correctif nécessite le redémarrage de la machine.
Ce correctif remplace le précédent correctif MS09-019.
– Vulnérable :
* Microsoft Internet Explorer 5.01 Service Pack 4
* Microsoft Internet Explorer 6 Service Pack 1
* Microsoft Internet Explorer 6
* Microsoft Internet Explorer 7
* Microsoft Internet Explorer 8
– Référence :
http://www.microsoft.com/technet/security/bulletin/ms09-034.mspx
http://blogs.technet.com/srd/archive/2009/07/28/overview-of-the-out-of-band-release.aspx
– Référence CVE :
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1917
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1918
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1919
– Correction :
Nous vous recommandons de mettre à jour vos systèmes en installant les correctifs disponibles sur le site de l’éditeur :
http://www.microsoft.com/technet/security/bulletin/ms09-034.mspx#EID
– Lien extranet XMCO Partners :
http://xmcopartners.com/veille/client/index.xmco?nv=1248865413